Ограничить доступ к URL-адресам REST в браузере

Как ограничить доступ к URL-адресам REST в браузере, может ли кто-нибудь указать мне, какие необходимые изменения нужно внести в security.xml. Мое веб-приложение работает на платформе Spring MVC.

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:beans="http://www.springframework.org/schema/beans"   xmlns:p="http://www.springframework.org/schema/p"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
          http://www.springframework.org/schema/security  http://www.springframework.org/schema/security/spring-security.xsd">

<http pattern="/images/**" security="none" />
<http pattern="/styles/**" security="none" />
<http pattern="/scripts/**" security="none" />
<http pattern="/assets/**" security="none" />


<http auto-config="true">
    <intercept-url pattern="/app/admin/**" access="ROLE_ADMIN" />
    <intercept-url pattern="/app/passwordHint*" access="ROLE_ANONYMOUS,ROLE_ADMIN,ROLE_USER" />
    <intercept-url pattern="/app/requestRecoveryToken*" access="ROLE_ANONYMOUS,ROLE_ADMIN,ROLE_USER, ROLE_PHYSICIAN, ROLE_PRACTICE_STAFF" />
    <intercept-url pattern="/app/updatePassword*" access="ROLE_ANONYMOUS,ROLE_ADMIN,ROLE_USER, ROLE_PHYSICIAN, ROLE_PRACTICE_STAFF" />
    <intercept-url pattern="/app/signup*" access="ROLE_ADMIN" />
    <intercept-url pattern="/app/practice*" access="ROLE_ADMIN"/>   
    <!-- <intercept-url pattern="/app/patientReports*" access="ROLE_ADMIN"/> -->        
    <intercept-url pattern="/app/mediaFile/**" access="ROLE_ANONYMOUS"/>
    <intercept-url pattern="/app/**" access="ROLE_ADMIN, ROLE_USER, ROLE_PHYSICIAN, ROLE_PRACTICE_STAFF" />
    <form-login login-page="/login" authentication-failure-url="/login?error=true" login-processing-url="/j_security_check" />
    <remember-me user-service-ref="userDao" key="e37f4b31-0c45-11dd-bd0b-0800200c9a66" />
</http>

<authentication-manager>
    <authentication-provider user-service-ref="userDao">
        <password-encoder ref="passwordEncoder">
        </password-encoder>
    </authentication-provider>
</authentication-manager>


<!-- Override the default password-encoder (BCrypt) by uncommenting the following and changing the class -->
<!-- <bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/> -->

<global-method-security>
    <protect-pointcut expression="execution(* *..service.UserManager.getUsers(..))" access="ROLE_ADMIN" />
    <protect-pointcut expression="execution(* *..service.UserManager.removeUser(..))" access="ROLE_ADMIN" />
</global-method-security>


spring-mvc restlet-2.0 appfuse
person rsr    schedule 16.01.2015    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Вы читали безопасность Spring руководство?

Вам необходимо ограничить доступ к остальным URL-адресам для определенных ролей. Как вы получаете эти роли через пользователей, зависит от вашей настройки. Для вызовов REST вам, вероятно, не нужен вход в форму, а базовая аутентификация.

person Jasha    schedule 17.01.2015